Yurt Dışında Yerleşik Veri Sorumlularının VERBİS’e Kayıt Yükümlülüğü ve Şartları

Kişisel verilerin bir kısmının veya tamamının yurt dışında yerleşik kurucu / ortak yabancı şirkete aktarılması ve yurt dışında yerleşik şirketin bu verileri kendi amaçları doğrultusunda kullanması durumunda, yurt dışındaki şirketin Veri Sorumluları Sicili Bilgi Sistemi (“VERBİS”)’ne kayıt yükümlülüğü doğmaktadır. Bu aktarımlar, genel bir ifade ile yurt dışında bulunan şirket tarafından sağlanan ve yönetilen bir kayıt sistemine Türkiye'deki tüzel kişiliğe ait çalışan, tedarikçi ve müşterilere ait verilerinin tamamının veya bir kısmının kaydedilmesi ile oluşmaktadır. Ancak salt kişisel verilerin yurt dışı ortak tarafından bir kayıt sisteminde tutulması VERBİS kayıt yükümlülüğü meydana getirmemekte, yurt dışı ortağın bu verileri kendi amaçları doğrultusunda kullanması gerekmektedir.

Bu açıklama çerçevesinde; Türkiye'de bir şirketin ortağı ya da kurucusu hüviyetine sahip yurt dışında yerleşik tüzel kişiliğin bir Veri Sorumlusu Temsilcisi marifetiyle; Türkiye'de yerleşik tüzel kişi veri sorumlusu şirketin ise aşağıda açıklayacağımız şartları sağlaması durumunda VERBİS kaydı oluşturması gerekmektedir.

Konuya dayanak mevzuat, karar ve rehberlerin ilgili bölümleri aşağıdaki gibidir:

Veri Sorumluları Sicili Hakkında Yönetmelik:

İlke Usul ve Esaslar

Madde 5:

(b) Türkiye’de yerleşik olmayan veri sorumluları, veri işlemeye başlamadan önce veri sorumlusu temsilcisi marifetiyle Sicile kaydolmak zorundadır.

Veri sorumlusu, veri sorumlusu temsilcisi ve irtibat kişisinin yükümlülükleri

Madde 11:

(2) Türkiye’de yerleşik olmayan veri sorumlusunun, veri sorumlusu temsilcisi atanmasına ilişkin yetkili organı veya kişisi tarafından alınacak kararın tasdikli örneği, kayıt başvurusu sırasında veri sorumlusu temsilcisi tarafından Kuruma sunulur.

Kişisel Verileri Korunma Kurulu 17.12.2019 Tarihli ve 2019/387 Sayılı Kararı

Kurul'un 2019/387 kararı ile Yurt dışında yerleşik gerçek ve tüzel kişi veri sorumluları için Veri Sorumluları Siciline kayıt için son tarih 30.06.2020 olarak belirlenmiştir.

Avrupa Birliği Veri Koruma Regülasyonu (GDPR)

Madde 3:

(2) Kanun birlik içerisinde bulunan veri sahiplerinin kişisel verilerinin Birlik içerisinde kurulu olmayan bir kontrolör veya işleyici tarafından işlenmesine de uygulanır.

(Burada mütekabiliyet esasına bağlı olarak; KVKK da Türkiye'de yerleşik olmayan veri sorumluları tarafından veri işlenmesi halinde uygulanır. Buna bağlı olarak yurt dışında yerleşik veri sorumluları VERBİS'e kayıt yaptırmak zorundadır.)

ATAMA KARARI

Veri Sorumluları Sicili Hakkında Yönetmelik Md. 11 ile atama kararının nasıl alınacağı ve buna ilişkin usul ve yöntemler açıklanmıştır. Buna göre;

1. Türkiye’de yerleşik olmayan veri sorumlusunun, veri sorumlusu temsilcisi atanmasına ilişkin yetkili organı veya kişisi tarafından alınacak kararın tasdikli örneği, kayıt başvurusu sırasında veri sorumlusu temsilcisi tarafından Kuruma sunulur.

(Yurt dışında yerleşik veri sorumlusu aşağıda açıklanacağı şekilde alacağı atama kararının ıslak imzalı halini, apostil veya noter onayı ile sicile kayıt yapmadan önce Kurul'a normal posta yoluyla iletmelidir. Kurul, KEP üzerinden gönderilen başvuruyu atama kararını da değerlendirdikten sonra onaylar ya da reddeder.)

2. Veri sorumlusu temsilcisi atama kararı, asgari olarak aşağıda belirtilen hususları kapsayacak şekilde düzenlenir:

• a) Kurum tarafından yapılan tebligat veya yazışmaları veri sorumlusu adına tebellüğ veya kabul etme,
• b) Kurum tarafından veri sorumlusuna yöneltilen talepleri veri sorumlusuna iletme, veri sorumlusundan gelecek cevabı Kuruma iletme,
• c) Kurul tarafından başkaca bir esasın belirlenmemiş olması halinde; ilgili kişilerin Kanunun 13. maddesinin birinci fıkrası uyarınca veri sorumlusuna yönelteceği başvuruları veri sorumlusu adına alma ve veri sorumlusuna iletme,
• ç) Kurul tarafından başkaca bir esasın belirlenmemiş olması halinde; ilgili kişilere Kanunun 13 üncü maddesinin üçüncü fıkrası uyarınca veri sorumlusunun cevabını iletme,
• d) Veri sorumlusu adına Sicile ilişkin iş ve işlemleri yapma.

SONUÇ:

1. VERBİS'e kayıta ilişkin ilgili yönetmelik ve 2019/387 sayılı kararda belirtildiği üzere; yurt dışında yerleşik veri sorumluları her halde; yurt içinde yerleşik veri sorumluları ise yıllık çalışan sayısı 50’den çok veya yıllık mali bilanço toplamı 25 milyon TL’den çok olması durumunda 30.06.2020 tarihine kadar VERBİS'e kayıt yaptırmak zorundadır.

Eğer yurt içinde yerleşik bir veri sorumlusunun ortağı ya da kurucusu hüviyetine sahip yurt dışında yerleşik tüzel kişisi bulunmakta ve yurt dışında bulunan şirket Türkiye’den kendisine aktarılan kişisel verileri kendi amaçları doğrultusunda kullanıyor ise, yurt dışında yerleşik veri sorumlusu ve yurt içinde yerleşik veri sorumlusu VERBİS'e ayrı ayrı kayıt yaptırmakla yükümlüdür.

2. Yurt dışında yerleşik bir tüzel kişi tarafından yukarıda bahsedilen şekilde bir veri işleme faaliyeti mevcut ise bu tüzel kişinin bir veri sorumlusu temsilcisi atama kararı alması ve bu kararı Kurum'a ileterek VERBİS kayıt sürecini 30.06.2020'a kadar tamamlaması gerekmektedir.

Söz konusu yurt dışında yerleşik veri sorumlusu, herhangi bir tüzel veya gerçek kişiyi atayabilir.

3. Önemle belirtmek gerekir ki, işbu yurt dışında yerleşik tüzel kişinin KVKK ve sair mevzuatta yer alan yükümlülüklerini yerine getirmemesi, yalnızca kendi nezdinde sorumluluk doğuracak; bu konudaki yaptırımlar yurt dışında yerleşik tüzel kişiye yönelik olacaktır. Türkiye’de kurucusu veya ortağı olduğu şirket nezdinde bir sorumluluk doğurmayacaktır.